اسکم های رایج در دستگاهای موبایل

اسکم های رایج در دستگاهای موبایلمقاله منتشر شده در بایننس آکادمی در تاریخ 21اکتبر 2019ادرس اصلی مقاله به زبان انگلیسی :https://www.binance.vision/security/common-scams-on-mobile-devicesسال 2017 برای صنعت رمزارز ها سال قابل توجهی بود، چرا که بالا رفتن سریع ‏ارزش، آن را به سمت رسانه های اصلی سوق داد. این مسئله باعث جذابیت ‏زیاد رمزارز ها برای عموم مردم و مجرمان سایبری شد. قابلیت ناشناس بودن نسبی ‏که رمزارز ها ارائه کرده اند باعث شده است که از سوی مجرمانی که قصد دور زدن ‏سیستم های بانکی سنتی و قوانین نظارتی مالی را دارند، بسیار مورد توجه قرار ‏بگیرند.‏از آنجایی که افراد مدت زمان بیشتری از گوشی های موبایل خود در مقایسه با ‏کامپیوتر هایشان استفاده میکنند، طبیعی است که موبایل ها بیشتر مورد توجه مجرمان سایبری قرار بگیرند. این مقاله نشان می دهد که کلاهبرداران چگونه کاربران رمزارز ها را ‏از طریق دستگاههای تلفن همراه خود هدف قرار داداه اند، همچنین برخی از اقداماتی ‏که کاربران برای محافظت خود در این فضا میتوانند انجام دهند نیز ارئه خواهد شد.‏برنامه های جعلی رمزارز هابرنامه های جعلی صرافی های رمزارزاحتمالا شناخته شده ترین برنامه جعلی برای تبادل رمزارز ‏به نام صرافی poloniex‏ است. قبل از ‏شروع به کار اپلیکیشن موبایل تریدینگ در جولای 2018، گوگل پلی لیستی از ‏چند برنامه جعلی ‏poloniex‏ را ارائه کرد . بسیاری از کاربرانی که آن برنامه های ‏جعلی رادانلود کرده بودند حساب کاربری ‏poloniex‏ داشتند و پول آنها دزدیده شد. ‏بعضی از برنامه ها حتی یک قدم پیشتر رفته بودند و اطلاعات حساب کاربری ‏gmail‏ افراد را درخواست میکردند. البته تنها حساب های کاربری تهدید میشد که ‏احراز هویت دو مرحله ای(‌‎2FA‌‏) نداشتند.‏مراحل زیر میتوانند از شما در برابر چنین اسکم هایی محافظت کنند• وبسایت رسمی صرافی مورد نظر را چک کنید تا مطمئن شوید آیا واقعا ‏برنامه موبایل تریدینگ ارائه کرده اند یا خیر، در صورت ارائه فقط از لینکی ‏که سایت معرفی کرده است استفاده کنید.‏• نظرات و رتبه بندی ها را بخوانید. برنامه های کلاه برداری نطرات بسیار ‏بدی دارند و شکایت های زیادی از سمت کاربران درباره اینکه مورد ‏کلاهبرداری قرار گرفته اند وجود دارد، بنابراین مطمئن شوید که قبل از ‏دانلود برنامه این موارد را بررسی کرده اید. همچنین درباره برنامه هایی که ‏رتبه بندی و نظرات بسیار مثبت و کاملی ارائه میکنند هم تردید کنید چرا که ‏هر برنامه قانونی میتواند نطرات و بررسی های منفی داشته باشد.‏• اطلاعات توسعه دهندگان برنامه را بررسی کنید. به دنبال این باشید که آیا یک ‏کمپانی، ایمیل و یا وبسایت قانونی ارائه شده است یا نه. همچنین درباره ‏اطلاعات ارائه شده جستجو کنید که آیا منطبق با صرافی رسمی هست یا نه.‏• تعداد دفعات دانلود را بررسی کنید. تعداد دانلودها باید متقاعد کننده باشد. بعید ‏است که یک صرافی مشهور رمزارز تعداد دانلود کمی داشته باشد.‏• احراز هویت دو مرحله ای(‌‎2FA‌‏) را برای حساب کاربری خود فعال کنید. ‏اگرچه 100 درصد امن نیست اما دور زدن‎ 2FA‌‏ بسیار سخت تر است و تفاوت ‏زیادی در محافظت از سرمایه ایجاد میکند،حتی اگر اطلاعات ورود سرقت ‏شود.‏برنامه های جعلی کیف پولبرنامه های جعلی بسیار متفاوتی وجود دارند. یکی از آنها به دنبال بدست آوردن ‏اطلاعات شخصی کاربران است، مثل رمز عبور کیف پول و کلید خصوصی ‏کاربران.‏در بعضی موارد، برنامه های جعلی آدرس های عمومی از پیش ایجاد شده را به ‏کاربران ارائه میدهند و کاربر تصور میکند که پول به این آدرسها واریز شده است، ‏در صورتی که دسترسی مجدد به کلید های خصوصی ندارند و بنابراین به پولی که ‏ارسال کرده اند دسترسی نخواهند داشت.‏ولت های جعلی به این صورت، برای رمزارز های مشهوری مثل اتریوم و نئو ‏ساخته شده اند و متاسفانه کاربران زیادی پول خود را از دست داده اند. در اینجا ‏اقدامات پیشگیرانه ای برای جلو گیری از قربانی شدن وجود دارد:‏• مواردی که برای برنامه های صرافی ها در بالا گفته شد در مورد برنامه های ‏ولت نیز به همان اندازه قابل استفاده هستند.با این حال کار دیگری که در ‏مواجهه با ولت ها میتوانید انجام دهید این است که در اولین استفاده از ولت ‏مطمئن شوید آدرس جدیدی ایجاد شده است و شما کلید های خصوصی (یا ‏عبارت های یاد آور ولت)را در اختبار دارید. یک برنامه قانونی ولت این ‏امکان را به شما میدهد که از کلید خصوصی خود خروجی بگیرید ولی این ‏نکته هم مهم است که جفت کلید هایی که تولید میشوند در معرض خطر نباشند، ‏پس باید از یک نرم افزار معتبر(ترجیحا اوپن سورس) استفاده کنید.‏• حتی اگر برنامه کلید خصوصی ( یا عبارت های بازیابی) به شما ارائه داد، ‏باید بررسی کنید که آیا آدرس عمومی از طریق آن قابل دستیابی هست یا نه. ‏به عنوان مثال بعضی از ولت های بیتکوین این امکان را به کاربران میدهند ‏که کلید خصوصی یا عبارات بازیابی خود را وارد کنند تا آدرس را ساخته و ‏به پول دسترسی پیدا کنند. برای به حداقل رساندن خطراتی که عبارات یا ‏کلیدهای خصوصی را تهدید میکنند میتوانید این کار را در کامپیوتری انجام ‏دهید که به اینترنت متصل نیست.‏برنامه های سرقت رمزارز(‏Cryptojacking‏)‏Cryptojacking به علت محدودیت های کمی که برای ورود به سیستم ها دارد و ‏همچنین سربار کمی که نیاز دارد بسیار مورد توجه مجرمان سایبری قرار گرفته ‏است. علاوه بر این، میتواند در درازمدت برای آنها درامد زایی داشته باشد. از آنجا ‏که دستگاه های موبایل قدرت پردازشی کمتری در مقایسه با کامپیوتر ها دارند، به ‏طور فزاینده ای هدف کریپتو جکینگ قرار میگیرند.‏بجز ‏cryptojacking‏ از طریق مرورگرهای وب، مجرمان سایبری برنامه های را ‏تولید کرده اند که به نظر بازی های قانونی با ابزار ها و برنامه های آموزشی به نظر ‏میرسند. بسیاری از این برنامه ها به گونه ای طراحی شده اند که مخفیانه اسکریپت ‏های ماینینگ را در پس زمینه اجرا میکنند‏همچنین بعضی از برنامه های ‏cryptojacking‏ وجود دارند که به عنوان برنامه ‏های ماینر معرفی میشوند ولی پاداش حاصل از ماین بجای کاربر به تولید کننده ‏برنامه داده میشود.‏بدتر اینکه، این مجرمان سایبری به طور فزاینده ای پیچیده شده اند از الگوریتم های ‏ماینینگ سبکی استفاده میکنند تا قابل تشخیص نباشند.‏Cryptojacking به طور غیر قابل باوری برای دستگاهای تلفن زیان آور هستند چرا ‏که کارایی و سرعت تخریب قطعات را افزایش میدهند.‏اقدامات زیر میتواند شما را در برابر ‏cryptojacking‏ محافظت کند• برنامه ها را تنها از فروشگاهای معتبر دانلود کنید، مثل گوگل پلی(که البته در میان برنامه های رسمی گوگل پلی نیز برنامه های مخرب و اسکم و کریپتوجکینگ کم نیست). برنامه های ‏دزدی از قبل اسکن نشده اند و به احتمال زیاد حاوی اسکریپت های ‏cryptojacking ‌‏ هستند.‏• گوشی تلفن خود را برای مصرف غیر عادی باتری یا داغ شدن بیش از حد ‏کنترل کنید و در صورت مشاهده، برنامه ای که مسبب آن است را متوقف ‏کنید.‏• دستگاه و برنامه های آن را مرتبا به روز رسانی کنید تا آسیب پذیری های ‏امنیتی برطرف شوند.‏• از مرورگرهایی استفاده کنید که در برابر ‏cryptojacking‏ ایمن شده اند و یا ‏پلاگین های معتبری را برای آن نصب کنید. مثل ‏MinerBlock، ‏NoCoin‏ و ‏Adblock‏.‏• در صورت امکان انتی ویروس موبایل نصب کنید وآن را به روز نگه دارید.‏Giveawayهای رایگان و برنامه های جعلی ماینینگ رمزارزها :برنامه هایی هستند که به کاربران وعده استحراج رمزارز میدهند ‏ولی جز نمایش تبلیغات کاری انجام نمی دهند. این برنامه ها با نشان دادن میزان ‏افزایشی ریوارد های حاصل از ماین، کاربران را به باز نگه داشتن برنامه ها تشویق ‏میکنند. حتی بعضی از آنها کاربر را تشویق میکنند تا در ازای دادن امتیاز 5 ستاره ‏به برنامه ‏ریوارد بیشتری دریافت کنند. البته هیچکدام از این برنامه ها واقعا ماینینگ انجام ‏نمیدهند وکاربران ریوارد دریافت نمیکنند.‏برای ایمن ماندن در برابر این اسکم ها، توجه داشته باشید که برای اکثریت رمزارز ‏ها، ماینینگ نیاز به سخت افزار های بسیار تخصصی (‏ASICs‏) دارد، به این معنا که ‏ماین کردن روی دستگاه تلفن همراه امکان پذیر نیست، هرمقدار که شما ماین کنید در ‏بهترین حالت بیهوده خواهد بود.از چنین برنامه هایی دوری کنید.‏برنامه های ‏Clipper‏ چنین برنامه هایی آدرس های رمزارزی را که کپی میکنید تغییر میدهد و آنها را با ‏آدرس مهاجم به سیستم جایگزین میکند. بنا بر این در حالی که قربانی آدرس گیرنده ‏را درست وارد کرده است آدرس مهاجم در تراکنش جایگزین میشود. ‏برای پیشگیری از قربانی شدن توسط چنین برنامه هایی اقدامات زیر را هنگام ‏پردازش تراکنش میتوانید انجام دهید.‏• همیشه دو یا سه بار ادرسی را که در فیلد گیرنده کپی کرده اید را بررسی ‏کنید. تراکنش های بلاکچین غیر قابل بازگشت هستند، پس باید مراقب باشید.‏• بهتر است تمام آدرس را کنترل کنید، نه فقط بخشی از آن. بعضی از برنامه ها ‏به اندازه ای هوشمند هستند که آدرسی را جایگزین کنند که شبیه به ادرس ‏مورد نظر شماست.‏SIM swapping‏ ‏در اسکم های ‏sim swapping، مهاجم سایبری به شماره تلفن کاربر دسترسی پیدا ‏میکند و این کار را با استفاده از تکنیک های مهندسی اجتماعی انجام میدهند تا ‏اپراتورهای تلفن همراه را مجاب کنند سیم کارت جدیدی برای آنها صادر کنند. ‏شناحته شده ترین کلاهبرداری ‏sim swapping، مایکل تریپین، است. وی ادعا کرده ‏است که ‏AT & T‏ با سهل انگاری در استفاده از اطلاعات تلفن همراهش موجب از ‏دست دادن توکن هایی به ارزش 20 میلیون دلار شده است.‏زمانی که مهاجم سایبری به شماره تلفن شما دسترسی پیدا کند، میتواند از آن برای ‏دور زدن ‌‎2FA‌‏ استفاده کند و به ولت و حساب کاربری اکسچنج شما دسترسی پیدا ‏کند.‏راه دیگری که مهاجمان سایبری میتوانند به کار گیرند،کنترل پیامک های شماست. ‏وجود نقص در شبکه های ارتباطی میتواند منجر به رهگیری پیامک های شما توسط ‏مهاجمان شود و بتوانند به پیام احراز هویت مرحله دوم دست پیدا کنند.‏چیزی که نگران کننده است این است که این حمله وابسته به واکنش های کاربران ‏نیست.مثل دانلود برنامه جعلی یا کلیک روی یک لینک.‏برای پیشگیری از چنین کلاهبرداری هایی اقدامات زیر مد نظر قرار گرفته اند.‏• از شماره تلفن خود برای احراز هویت دو مرحله ای استفاده نکنید، بلکه از ‏برنامه هایی مثل ‏Google Authenticator ‌‏ یا ‏Authy‏ برای ایمن کردن ‏اکانت خود استفاده کنید. مهاجمان حتی با دسترسی به شماره تماس شما هم قادر ‏به دسترسی به این برنامه ها نیستند. علاوه بر این میتوانید از سخت افزار ‏احراز دو مرحله ای مثل ‏Yubikey‏ یا ‏google’s Titan Security Key‏ ‏استفاده کنید.‏• اطلاعات شناسایی شخصی خود مثل شماره تلفن همراه، را در شبکه های ‏اجتماعی قرار ندهید. مهاجمان میتوانند از آنها برای جعل هویتتان استفاده کنند.‏• در هیچ شبکه اجتماعی اعلام نکنید که دارای رمزارزی هستید، چرا که ‏میتواند شما را هدف مهاجمان قرار دهد. یا اگر این مورد را دیگران میدانند از ‏افشای صرافی یا ولتی که پول را نگهداری میکنید خودداری کنید.‏• با ارائه کنندگان تلفن همراهتان تمهیداتی را برای محافظت از حساب خود ‏ترتیب دهید. به این معنا که پین یا کلمه عبوری را به حساب خود متصل کنید و تنها کاربرانی بتوانند تغییراتی در حساب کاربری اعمال کنند که پین کد را بدانند.این تغییرات باید حضوری انجام شود و نباید تلفنی باشد.Wifiمهاجمان سایبری دائما به دنبال ورود به دستگاه تلفن همراه افراد به خصوص ‏کاربران رمزارزها هستند که یکی از راه های آن ‏wifi‏ است. ‏Wifi‏ های عمومی نا ‏امن هستند و کاربران قبل از اتصال به آنها باید اقدامات امنتی لازم را انجام دهند، در ‏غیر این صورت اطلاعات تلفن همراه آنها در معرض خطر قرار میگیرد.این ‏اقدامات در مقاله ‏wifi‏ عمومی ارائه شده است.‏(بعدا براتون ترجمش میکنیم!!! )جمع بندیتلفن های همراه به بخش مهمی از زندگی ما تبدیل شده اند، در واقع به قدری با ‏هویت دیجیتالی ما در هم امیخته اند که ممکن است به بزرگترین آسیب پذیری ما ‏تبدیل شوند. مهاجمان مجازی از این نکته آگاه هستند و به دنبال راهی برای استفاده ‏از آن هستند. امن کردن تلفن همراه دیگر یک موضوع اختیاری نیست و به یک ‏ضرورت تبدیل شده است.، پس ایمن باشید.‏مترجم خانم ستاره افشاریآیدی توئیتر : @setarehAfshari